Кажется произошел взлом члена.
Хакеры удаленно взломали умный пояс верности для мужчин и потребовали биткоины взамен освобождения писюнов-заложников.

Оказывается, есть такая секс игрушка Cellmate, она используется БДСМ-сообществом для предотвращения эрекции у мужчин. Человек с пипиркой надевает на себя этот девайс, а его партнер может блокировать и разблокировать его. Вопросов про гаджет больше чем ответов, но вдаваться в подробности не хочется.

Недавно некоторые пользователи сообщили, что их игрушки перестали реагировать на команды приложения, зато получили сообщение: «Твой член теперь мой» и требование выкупа в 0,02 биткоина.

Компания-производитель этой штуки - Qiui - находится в китае и не особо коментирует ситуацию. А по словам экспертов защита устройств, которым пользователи доверяют самое дорогое, находится на уровне умных лампочек.

Хакеры часто выбирают умные секс-устройства как цель для своих атак, так что просто не пользуйся ими, окей?

соответственно тебе будет очень сложно обработать больше 50 тыщ запросов, а это ещё в транзакции, а ещё кто-то другой что-то делает, тоесть ещё меньше, ориентируйся не несколько тыщ запросов в секунду, а данные пролопатить на беке можно намного быстрее, а ещё не забудем про то, что сеть грузится, потому что сразу куча мелких запросов бегает туда-сюда, плюс всякий орм-мусор ещё чёт там мудрит, а ещё это поверх SSL и можно обосраться сразу на иопсах, на сети и проце.

Когда с JWT ты один раз проверил сигнатуру и вот у тебя твои данные, в наносекундной доступности.

Помимо проблем с перформансом из-за избыточной нагрузки на базу, есть и другая - сесурити.

Это очень несекурно писать в логи сенситив информацию. Например имейл пользователя. Обычно пишут только id чтобы снаружи эта инфа не несла вообще никакой ценности.

Это у реддита кажется утекли в прошлом году логи, которые содержали попытки логина пользователей - т.е пары логин/пароль

К хранилищам логов доступ имеют дохера левого народа - qa, девелоперы, техподдержка... и писать туда чувствительную информацию нельзя

Ну когда в открытом доступе plain text лежит - тоже хорошего мало

Я бы на уровне тимлидов запретил писать в логи что-то ценное. Прям так бы и сказал - ваш зашквар. Влияет на оценку вашего перформанса как серьёзный сесурити-проёб

Личные данные клиентов, приватная информация моделей

Всё что в профиле заполняется пользователем - личные данные. НЕ считаются личными - UserId, SessionId - такое вот

ну ты можешь не использовать id юзера для каждой операции, а выдавать id на сессию, по которой можно уже понять юзера и т.д. Не всем сервисам нужен id именно пользователя